| 用途 | 域内凭据攻击迹象识别 |
|---|---|
| 事件 | 4768 票据授予 / 4769 服务票据申请 |
筛查思路
筛查思路
1) 4769 按请求账号聚合，看短时高频 SPN
2) 过滤 TicketEncryptionType=0x17 (RC4)
3) 关联同账号 4624 登录来源先建立正常服务票据基线，再看离群请求。
本包目录（137 条）
溯源思路与流程30 条
日志溯源35 条
- Windows 登录事件 ID 速查
- 访问日志攻击特征判读
- Windows 登录类型（Logon Type）对照
- Linux 认证日志速查
- Web 日志路径与字段
- 反向代理日志关联
- SSH 爆破与得手的判读
- journald 查询方法
- WAF 日志判读要点
- 云审计日志溯源（AWS CloudTrail）
- 云操作审计检索（阿里云 ActionTrail）
- 邮件网关日志追溯
- SIEM 检索策略：先精后粗
- 用 trace/request id 串联跨服务日志
- Kubernetes 审计日志判读
- 对象存储访问日志核查
- 负载均衡访问日志字段解读
- auditd 进程执行记录查证
- Kerberos 票据事件异常判读
- 数据库审计日志要点
- sudo 使用记录判读
- 计划任务执行日志
- 内核日志（dmesg）痕迹
- 防火墙日志判读
- IDS/IPS 告警日志关联
- 正向代理日志分析
- DNS 查询日志溯源
- VPN 接入日志核查
- 堡垒机会话日志利用
- CDN 日志判读要点
- 计划任务创建事件（4698）
- 服务安装日志（7045）判读
- 日志转发链完整性核查
- JSON 行日志结构化解析
- User-Agent 线索利用
Kerberos 票据事件异常判读
4768/4769 记录票据签发与请求：大量 SPN 请求且加密类型退化（RC4）常指向 Kerberoasting 类行为。
易错点
- 业务系统也可能批量请求票据，基线对照不可缺
- 只看单台域控会漏跨域控请求，多域控联合检索
数据来源与参考
- Microsoft Docs（4768/4769 事件文档）